加密资产交易所面临哪些风险？| CSA发布《加密资产交易所安全指南》

关注微信公众号“云安全联盟CSA”，回复关键词“指南”
即可阅读下载全文

区块链做为一种颠覆性技术，能够帮助多个应用场景的业务创新并促进业务转型。同时，区块链技术也面临着诸多的安全挑战，与传统信息系统的安全架构相比，和加密资产交易所相关的系统架构、运作的边界、参与者和组件已重新定义，给用户、区块链服务提供机构及监管机构带来了全新的安全及监管的挑战。

CSA发布《加密资产交易所安全指南》（以下称“指南”），主要针对加密资产交易相关的安全风险、安全最佳实践及相关的风险控制措施给出指导意见，帮助加密资产交易用户、服务提供机构及监管机构提升安全意识，了解相关威胁及防护措施。

指南共分四个主要章节，分别分析了加密资产交易所面临的威胁；建立了针对重点攻击加密币资产的威胁建模框架（ABC, Asset-Based Cryptocurrency-focused Threat Modeling Framework）；从最终用户、交易所运营商和审计者这三个不同的角度推荐了最佳安全实践；梳理了加密资产交易所相关风险的控制措施

#01

第一章首先介绍了针对重点攻击加密币资产的威胁模型，这个模型可用于分析针对加密币本身的攻击以及针对通过智能合约控制交易的去中心化（分散式）交易所（DEX）的攻击。然后分析交易所面临的威胁，主要有十类针对交易所的攻击类型，分别是：

• 用户凭证钓鱼；

• 针对交易所的技术攻击；

• 对交易所员工实施鱼叉式网络钓鱼攻击；

• 对交易所员工实施鱼叉式网络钓鱼攻击；

• 攻击者进入内部系统，跨系统移动；

• 用于保存私钥的冷钱包（离线钱包）存储与用于日常操作的热钱包（在线钱包）密钥存储的不当或错误使用。

• 交易所内部人员威胁。

• 反编译交易所APP（iOS或Android）并找出嵌在APP里的秘密云API密钥，然后用这些密钥访问内部API，进而通过这些API访问热钱包或用户凭证。

• 复制钱包恢复密钥。

• 利用交易所执行方案存在的漏洞对特定加密币实施攻击。

#02

第二章则介绍了加密资产交易所安全参考架构。加密资产交易所有若干种形式；中心化（集中式）交易所（Centralized Exchange, CEX），分散式（去中心化）交易所（Decentralized Exchange, DEX），混合式交易所（Hybrid Exchange, HEX）等。

参考架构是一种预定义的模式架构集，这些模式被实例化、经过精心设计并被证明可以在应用环境下发挥既定功效。本章阐明了适用于加密资产交易所广泛类型和格式的CEX参考架构，以此作为框架，在未来形成CEX类型特有的可迭代的普遍适用架构的起点。

跟传统的金融服务/系统的“安全架构”相比，加密资产交易所及其超出传统名词语义范畴（如订单簿Order Book、买卖Trade、交换Swap、提款Withdrawal、交易Transaction和密钥Key等），参与者和组件已全部重新定义。

加密资产交易所抽象图

#03

第三章从三个不同的角度（最终用户、交易所运营商和审计者）推荐了最佳安全实践。

最终用户的视角的最佳安全实践有：

• 使用信誉良好和安全的交易所；

• 强口令管理和双因子或多因子认证；

• 使用单独的设备；

• 了解与钱包应用相关的密钥概念；

• 慎重安装或点击；

• 保护敏感数据；

• 确保设备安全；

• 永远只用安全的网络连接；

• 了解各种钱包类型和钱包的使用方式；

• 大笔资金采用多重签名。

交易所运营商视角的最佳安全实践有：

• 分布式拒绝服务攻击（DDoS）保护；

• 跨站点脚本（XSS）保护；

• 不暴露服务器信息；

• Web应用防火墙；

• 数据库防火墙；

• 第三方组件和补丁管理；

• 点击劫持（clickjacking）攻击和X-Frame选项；

• HSTS（HTTP严格传输安全）和安全套接字层（SSL）；

• 使用机器学习达到最佳保护效果；

• HTTP公钥固定（HPKP）；

• 使用启用了硬件安全模块（HSM）的钱包；

• 部署零信任架构；

• 错误处理；

• 2FA（双因子认证）；

• 防护51%攻击；

• 云服务安全保护。

审计者视角的最佳安全实践有：

• 开源情报收集；

• App安全审计；

• 服务器安全配置审计；

• 节点安全审计；

• 身份管理审计；

• 认证和授权审计；

• 会话管理审计；

• 输入安全审计；

• 业务逻辑审计；

• 密码安全审计；

• 热钱包架构安全审计；

• 私钥管理系统安全审计。

#04

第四章介绍了加密资产交易所相关风险的控制措施，包括管理和物理安全控制等方面相关的措施。其中涉及的领域包括：

管理控制措施：

• 行政管理控制措施；

• 资产安全分级（十个关键方面）；

• 加密资产交易所运行的相关法律；

• 保险（对内和对外）；

• 交易所安全事件联盟；

• 风险管理流程；

• 指定的安全责任；

• 政策和规程；

• 信息访问管理；

• 安全意识和培训；

• 安全事件处理规程；

• 应急预案；

• 评估；

• 商业合同；

物理控制措施：

• 设施访问；

• 工作站使用；

• 工作站安全；

• 设备和介质控制。

致谢

《加密资产交易所安全指南》(Crypto-Asset-Exchange-Security-Guidelines)由CSA区块链工作组专家编写，CSA大中华区秘书处组织翻译并审校。

中文版翻译专家组（排名不分先后）：

组 长：高卓

翻译组：李国、马晓艳、张钊

审校组：黄连金、郭鹏程、姚凯、刘洁

感谢以下单位对本文档的支持与贡献：

江南天安、北森云

本文作者：刘洁

CSA大中华区专家，超过二十多年企业数字化、IT战略及计划、IT治理及审计/合规， IT项目管理及系统选择、实施（包括ERP等系统），IT安全/业务连续性/灾难恢复， IT网络及数据中心运营管理， IT服务管理等领域有20年的本地及跨国企业工作经验。